IA y secreto profesional: lo que hay que preguntar.

El secreto profesional no es una política interna: es una obligación legal y deontológica que no se suspende por usar tecnología. Cuando una firma evalúa IA, la pregunta no es si el proveedor «es seguro» en abstracto, sino si su arquitectura es compatible con esa obligación. Estas son las preguntas que nosotros mismos quisiéramos recibir.

Primera: ¿mis datos entrenan modelos? La respuesta aceptable es una sola: no, nunca, y está en el contrato. «Solo con datos anonimizados» o «puedes solicitar la exclusión» no son respuestas aceptables para material protegido por secreto profesional.

Segunda: ¿quién puede ver qué? El proveedor debe soportar permisos por asunto y por cliente, no solo por usuario. Las murallas chinas que la firma mantiene en el mundo físico deben existir también en la plataforma, con registro de cada acceso.

Tercera: ¿qué pasa cuando termina el contrato? Exige borrado verificable con plazos concretos. Cuarta: ¿dónde residen los datos y bajo qué ley? Y quinta: ¿qué certificaciones independientes lo respaldan? SOC 2 Type II e ISO 27001 no son adornos de marketing: son auditorías de terceros sobre cómo opera el proveedor en realidad.

Ninguna de estas preguntas es técnica en el fondo. Todas son la misma pregunta deontológica de siempre, «¿puedo confiar este secreto?», aplicada a un custodio nuevo. Trátenla con el mismo rigor.